CVE-2026-93582

Moduły HTTP Basic Authentication w ((OTRS)) Community Edition 6 i wcześniejszych akceptują uwierzytelnioną nazwę użytkownika ze zmiennej środowiskowej REMOTE_USER lub HTTP_REMOTE_USER. We wdrożeniach opartych na CGI i mod_Perl nagłówki żądań HTTP mogą być mapowane na odpowiednie zmienne środowiskowe HTTP_*. W rezultacie nieuwierzytelniony zdalny atakujący może dostarczyć spreparowany nagłówek żądania Remote-User, który jest udostępniany aplikacji jako HTTP_REMOTE_USER. Gdy jako mechanizm uwierzytelniania skonfigurowane jest uwierzytelnianie podstawowe HTTP, OTRS traktuje tę wartość jako już uwierzytelnioną nazwę użytkownika i nie przeprowadza dodatkowej weryfikacji hasła. Osoba atakująca może zatem uwierzytelnić się za pośrednictwem interfejsu ogólnego jako istniejący agent lub użytkownik-klient, nie znając odpowiednich poświadczeń.

Uzyskane uprawnienia zależą od konta, pod które się podszywasz. Pomyślne wykorzystanie może umożliwić dostęp do poufnych informacji oraz modyfikację danych lub konfiguracji za zgodą danego użytkownika. Eksploatacja wymaga skonfigurowania podstawowego uwierzytelniania HTTP jako backendu uwierzytelniania oraz środowiska serwera WWW, w którym kontrolowane przez osobę atakującą nagłówki HTTP są ujawniane poprzez odpowiednie zmienne środowiskowe HTTP_*.

Ten wektor ataku nie ma wpływu na OTRS 7 i nowsze wersje ze względu na użycie Mojolicious/Hypnotoad i nie ujawniają dowolnych nagłówków żądań za pośrednictwem %ENV w sposób wymagany do wykorzystania. Obsługiwany mechanizm REMOTE_USER dodatkowo wymaga walidacji poprzez skonfigurowany wspólny sekret SSO. Nieużywana rezerwa HTTP_REMOTE_USER została jednak usunięta ze względu na zwiększenie bezpieczeństwa.

Należy pamiętać, że ((OTRS)) Community Edition 6.x i starsze są podatne na ataki. Bardzo prawdopodobne, że problem ten dotyczy również produktów opartych na ((OTRS)) Community Edition